GCP - Federation Abuse
OIDC - Github Actions Abuse
GCP
GCP सेवा खाते को Github repo से Github Actions तक पहुँच देने के लिए निम्नलिखित चरणों की आवश्यकता है:
वांछित अनुमतियों के साथ github actions से पहुँच के लिए सेवा खाता बनाएं:
एक नया वर्कलोड आइडेंटिटी पूल बनाएं:
Generate a new workload identity pool OIDC provider that trusts github actions (by org/repo name in this scenario):
अंत में, प्रदाता से प्रिंसिपल को एक सेवा प्रिंसिपल का उपयोग करने की अनुमति दें:
ध्यान दें कि पिछले सदस्य में हम सेवा खाते तक पहुँचने के लिए org-name/repo-name
को शर्तों के रूप में निर्दिष्ट कर रहे हैं (अन्य पैरामीटर जो इसे अधिक प्रतिबंधात्मक बनाते हैं जैसे कि शाखा का भी उपयोग किया जा सकता है)।
हालांकि, यह भी संभव है कि सभी github को सेवा खाते तक पहुँचने की अनुमति दें एक प्रदाता बनाकर जैसे कि निम्नलिखित एक वाइल्डकार्ड का उपयोग करके:
इस मामले में कोई भी github actions से सेवा खाते तक पहुँच सकता है, इसलिए हमेशा जांचना महत्वपूर्ण है कि सदस्य कैसे परिभाषित है। यह हमेशा इस तरह कुछ होना चाहिए:
attribute.{custom_attribute}
:principalSet://iam.googleapis.com/projects/{project}/locations/{location}/workloadIdentityPools/{pool}/attribute.{custom_attribute}/{value}
Github
याद रखें कि ${providerId}
और ${saId}
को उनके संबंधित मानों के लिए बदलें:
Last updated